محلّل ترويسات البريد

سطر «من» هو الجزء الوحيد في الرسالة الذي يستطيع أيّ أحد كتابته، وهو الجزء الوحيد الذي ينظر إليه معظم الناس. يكتبه من كتب الرسالة، كما يكتب الاسم على ظهر الظرف من وضعه في البريد. ولا شيء في التسليم يتوقّف على صدقه. وما يستحقّ القراءة فوقه، في الأسطر التي يخفيها برنامج بريدك خلف «عرض الأصل».

وأسطر Received هي الطريق، مكتوبًا بالمقلوب. فكل خادم يمرّ به البريد يضيف سطره إلى أعلى الترويسات، فيسرد الملفُّ الرحلةَ معكوسة: آخر سطر Received في الملف هو أوّل جهاز لمس الرسالة. وهي معروضة هنا بالاتّجاه الآخر، من الأقدم، لأن قراءتها بترتيب الملف تقلب جواب السؤال الوحيد الذي يسأله الناس.

وهذه الأسطر صادقة بقدر صدق الجهاز الذي كتبها، والمزوِّر يخترع من أوائلها ما يشاء. والسطر الذي تستطيع الاعتماد عليه هو الذي أضافه مزوّدك أنت حين قبل الرسالة، وهو في أعلى الملف وآخر القائمة هنا — وكل ما تحته شهادة من غرباء.

وSPF وDKIM وDMARC ثلاثة أسئلة مختلفة. فـSPF يسأل هل الجهاز الذي فتح الاتّصال من الأجهزة التي يسمح بها نطاق الإرسال، وهو يفحص مُرسِل الظرف لا سطر «من» الظاهر. وDKIM يسأل هل يتحقّق توقيع على جسم الرسالة بمفتاح ينشره النطاق الموقِّع؛ وهو يصمد عند إعادة التوجيه، بخلاف SPF. وDMARC هو الذي يربطهما بسطر «من»: يسأل هل النطاق الذي اجتاز SPF أو DKIM هو النطاق الذي تدّعي الرسالة أنها منه.

ولهذا تستطيع رسالة أن تجتاز SPF وDKIM وتبقى تزويرًا. فكلاهما اجتاز لنطاق المُرسِل نفسه؛ ولم ينظر أيّ منهما إلى الاسم العريض في أعلى شاشتك. والصفّ المعنون من في التقرير هو هذه المقارنة، مكتوبة صراحةً.

وتحذير واحد يخصّ هذا كلّه: هذه النتائج كتبها الخادم الذي سجّلها، ولذلك يسمّي التقرير ذلك الخادم أيضًا. فسطر Authentication-Results في رسالة لم تمرّ بمزوّدك بعد هو ادّعاء من غريب عن غريب.

اضغط حمّل عيّنة. هي فاتورة مزيّفة، بالشكل الذي ينجح فعلًا. سطر «من» يقول no-reply@example-bank.test والموضوع يقول إن دفعة مستحقّة يوم الجمعة.

الصفوف الثلاثة الأولى تقرأ SPF اجتاز وDKIM اجتاز وDMARC فشل. اقرأ التفصيل بجانب الأوّلين يظهر السبب: كلاهما اجتاز لـsupplier-invoices.test. ولا خطأ في بريد ذلك النطاق — فقد أرسل هذه الرسالة على الوجه الصحيح، وسجلّاته تقول ذلك.

والصفّ الرابع هو المهمّ. سطر «من» يدّعي example-bank.test، والذي اجتاز نطاق آخر. وDMARC هو الفحص الذي يقارن الاثنين، وقد فشل، وفي ملاحظته سياسة منشورة p=QUARANTINE — أي أن البنك الحقيقي طلب أن تُحجز الرسائل من هذا النوع. وبرنامج البريد الذي يعرض لك اسم العرض ولا شيء غيره يعرض لك بنكًا.

والجدول تحته هو الطريق. المحطّة 1 هي workstation.lan على 198.51.100.7، جهاز على مكتب أحدهم، يسلّم الرسالة إلى خادم الإرسال. والمحطّة 2 انتظرت 18 ثانية. والمحطّة 3 هي مزوّدك أنت وهو يقبلها. والعنوان بين قوسين مربّعين هو البند الوحيد في سطر Received الذي لم يختره الجهاز المُرسِل، لأنه ما رآه الخادم المستقبِل.

ولترى كيف تبدو الرسالة نفسها لقارئ، افتحها في العارض — الرابط في نصّها لا يذهب إلى البنك أيضًا.